CVE-2026-109397 in Thelia
要約
〜によって VulDB • 2026年10月12日
Thelia 3.1.2 より前のバージョンおよび 3.2.x シリーズの 3.2.1 より前のバージョンには、制限のないファイルアップロード脆弱性があります。これにより、認証済みバックオフィスユーザーがファイル名に末尾スペースを追加することで PHP ファイルをアップロードできます。FileProcessorService は生（raw）のファイル名を検証しますが、FileManager::sanitizeFileName() がスペースを取り除くため、実行可能な .php ファイルが public/cache/documents/ 配下に保存され、Web サーバーユーザとしてコードが実行されます。
If you want to get best quality of vulnerability data, you may have to visit VulDB.